Codex 在 Windows 上改用微软 MXC 沙箱：免管理员安装、按路径管控文件访问，但回环地址放行、以用户身份运行

这件事意味着什么

【要点】

北京时间 10 月 9 日晚，OpenAI 开发者账号宣布：Codex 在 Windows 上新增一种沙箱模式，底层改用微软的 Microsoft Execution Containers（MXC）。官方说法是安装更快、网络管控更严、文件访问可以按路径细分，需要兼容的 Windows 11 设备。MXC 是微软 10 月 8 日在 Windows AI 发布活动上宣布正式可用的 Agent 运行环境（本站 e/706）。

按 OpenAI 的 Windows 沙箱文档，Codex 现在有三种 Windows 沙箱：mxc 是兼容设备上的首选；elevated 是旧方案，要管理员批准安装，会创建专用低权限账户、改文件权限和防火墙规则；unelevated 是更弱的兜底方案，网络隔离较差，也不支持禁止读取的路径。MXC 用 Windows 原生的进程隔离，不需要管理员提权，不新建沙箱账户，不改主机文件权限，也不加防火墙规则；命令以用户本人的身份运行，但每条命令都套上一层策略，可读、可写、禁止访问的路径和网络权限都由当前权限配置决定。

这项能力在 Codex CLI 0.162.0 里提供，独立 CLI 默认关闭，要在配置里打开 prefer_mxc，桌面版则通过灰度逐步开启。企业管理员可以统一强制启用，也可以用 allow_mxc = false 整体禁用。

【可核验】

OpenAI 开发者账号发布帖：https://x.com/OpenAIDevs/status/2108573188703781190

Windows 沙箱文档：https://learn.chatgpt.com/docs/windows/windows-sandbox

文档也写明了限制：开启受管网络时必须允许本地绑定，MXC 会放行与本机回环地址上服务的连接，代理原有的私网目标检查会被去掉；前台命令结束后，残留的子进程会被一并结束，依赖后台开发服务器的工作流要先测试。显式指定 mxc 而设备能力不足时会直接失败，不会自动退回旧沙箱。

【我们的判断】

1. 这是本地编程 Agent 的隔离方式开始交给操作系统来做。以前 Codex 在 Windows 上要自己造账户、改权限、加防火墙规则，安装要管理员点头，企业 IT 往往卡在这一步。现在隔离由系统原生提供，部署门槛和对主机的改动都小了很多。

2. 但隔离边界也随之移动了。命令以用户本人身份运行，回环地址放行，代理的私网检查被去掉，这些都是为了兼容和速度做的取舍。对在本机跑数据库、内网服务的开发者来说，“开了沙箱”不等于“碰不到本机服务”，安全团队需要按文档重新核对默认配置。

3. 接下来值得看两件事：MXC 什么时候在桌面版和 CLI 里变成默认选项，以及 Anthropic、Google 等其他编程 Agent 会不会也接入同一套系统级沙箱。如果主流 Agent 都落到 MXC 上，Windows 的 Agent 权限管理就有可能形成统一的标准层。